O que é Cofre de cartões?
Um armazenamento compatível com PCI DSS de credenciais de cartão tokenizadas que permite a um comerciante cobrar um cartão novamente sem reter o PAN.
Um cofre de cartões é um sistema seguro e compatível com PCI DSS usado para armazenar detalhes sensíveis de cartões de pagamento, principalmente o Número da Conta Primária (PAN).
A sua principal função é reduzir o encargo de conformidade de um comerciante, descarregando o armazenamento desses dados perigosos para um terceiro certificado, como um gateway de pagamento ou PSP.
Em vez de reter o PAN, o comerciante armazena um valor substituto não sensível conhecido como token.
Este token atua como uma referência, permitindo que o comerciante inicie pagamentos futuros sem nunca tocar nas informações brutas do titular do cartão, reduzindo assim significativamente as suas obrigações PCI DSS.
Quando um cliente faz a sua primeira compra, os detalhes do seu cartão são enviados diretamente para o ambiente seguro do fornecedor do cofre. O cofre então retorna um token único ao comerciante, que é salvo no perfil do cliente.
Para transações subsequentes, como uma subscrição recorrente ou um Checkout de um clique, o comerciante simplesmente envia este token e o valor da transação ao fornecedor de pagamento. O fornecedor usa o token para recuperar o PAN armazenado de forma segura e processar o pagamento.
Um ponto comum de confusão é a portabilidade desses tokens. A maioria dos tokens de cofre básicos, muitas vezes chamados de tokens de gateway ou PSP, são proprietários.
Isso significa que estão vinculados a um fornecedor de pagamento específico, criando dependência e dificultando a mudança de fornecedor por parte do comerciante sem passar por um projeto de migração de dados complexo e dispendioso.
Exemplo prático
Um cliente subscreve um produto SaaS mensal de 29,99 £. Durante a inscrição inicial, insere os detalhes do seu Mastercard no formulário de Checkout.
Estes detalhes são transmitidos diretamente para o cofre compatível com PCI DSS Nível 1 da Cardflo, ignorando completamente os servidores do comerciante SaaS. O cofre da Cardflo armazena o PAN e retorna um token único e não sensível, por exemplo, `Cflo_tok_xyz789`, ao comerciante.
O comerciante armazena este token na sua base de dados, associado à subscrição do cliente.
Um mês depois, o sistema de faturação do comerciante inicia automaticamente uma Transação Iniciada pelo Comerciante (MIT) enviando um pedido à API da Cardflo contendo o token `Cflo_tok_xyz789` e o valor da cobrança de 29,99 £.
A Cardflo recupera os detalhes do cartão subjacentes e processa o pagamento, nunca expondo o PAN ao comerciante. Este processo reduz grandemente o âmbito PCI do comerciante e o risco de uma violação de dados.
Notas dos esquemas
O conceito de cofre é uma tecnologia específica do fornecedor, não um produto direto do esquema de cartão. No entanto, os cofres modernos estão profundamente integrados com os serviços do esquema.
Tanto a Visa (através do seu Visa Token Service, VTS) como a Mastercard (Mastercard Digital Enablement Service, MDES) defendem fortemente o uso de tokens de rede.
Cofres avançados, como os fornecidos pela Cardflo, integram-se com VTS e MDES para provisionar estes tokens nativos do esquema em vez de, ou em adição a, tokens de gateway proprietários.
Enquanto um cofre básico armazena o PAN estático, um conectado a serviços de tokenização de esquema pode garantir que a credencial de pagamento permanece 'ativa' mesmo que o cartão físico seja perdido ou expire, pois os esquemas e emissores atualizam o token em segundo plano.
Esta é uma vantagem significativa sobre os cofres que apenas suportam tokens proprietários.
Por que isto importa para os comerciantes
A implementação de um cofre de cartões é fundamental para qualquer comerciante que lide com transações de cartão em arquivo, como empresas de subscrição ou lojas de comércio eletrónico com Checkout de um clique.
O principal benefício é a drástica redução do âmbito de conformidade PCI DSS, o que poupa tempo e dinheiro significativos em auditorias de segurança e infraestrutura.
Ao impedir que dados brutos de cartão toquem nos sistemas do comerciante, um cofre também minimiza os danos reputacionais e financeiros de uma potencial violação de dados. No entanto, os comerciantes devem estar cientes da dependência do fornecedor associada aos tokens de cofre proprietários.
A utilização de um fornecedor como a Cardflo, cujo cofre suporta tokens de rede e oferece serviços seguros de migração de tokens, proporciona maior flexibilidade e permite que os comerciantes encaminhem transações através de múltiplos adquirentes,
otimizando custos e taxas de aprovação sem estarem vinculados a um único gateway.
Perguntas frequentes
Como é que a utilização de um cofre afeta o âmbito PCI DSS de um comerciante?
A utilização de um cofre de terceiros pode reduzir significativamente os requisitos de auditoria PCI DSS de um comerciante, permitindo-lhe frequentemente qualificar-se para Questionários de Autoavaliação mais simples, como SAQ A ou SAQ A-EP.
Como o comerciante nunca armazena, processa ou transmite PANs brutos nos seus próprios servidores, as obrigações de segurança para a sua infraestrutura interna são grandemente diminuídas.
Qual é a diferença entre um cofre específico de PSP e uma solução agnóstica de cofre?
Um cofre específico de PSP vincula os tokens a um único adquirente, o que pode levar à dependência do fornecedor, pois esses tokens podem não ser portáteis para um gateway diferente.
Um fornecedor de cofre agnóstico ou independente permite que o comerciante armazene dados centralmente e encaminhe transações para vários adquirentes, proporcionando maior flexibilidade e redundância na sua pilha de pagamentos.
Qual é a diferença entre um token de cofre e um token de rede?
Um token de cofre (ou token de gateway) é um identificador proprietário criado por um fornecedor de pagamento específico. É reconhecido apenas dentro do ecossistema desse fornecedor, levando à dependência do fornecedor.
Um token de rede é criado pelos próprios esquemas de cartão (Visa, Mastercard) e é interoperável em qualquer fornecedor de pagamento que esteja integrado com o serviço de token do esquema.
Os tokens de rede são geralmente superiores, pois são atualizados automaticamente pelo emissor, reduzindo as recusas de cartões expirados.
A utilização de um cofre torna-me totalmente compatível com PCI?
A utilização de um cofre reduz significativamente o seu âmbito de conformidade PCI DSS, mas não o elimina totalmente. Ainda é obrigado a preencher um Questionário de Autoavaliação (SAQ), tipicamente SAQ A, que é o formulário mais simples.
Isto atesta que terceirizou todas as funções de dados do titular do cartão para um terceiro compatível. As suas próprias práticas de segurança para o seu website e sistemas ainda são importantes.
Posso mover os meus cartões armazenados de um PSP para outro?
Sim, mas pode ser um processo complexo e dispendioso. Requer uma transferência segura de dados entre os fornecedores antigos e novos compatíveis com PCI, envolvendo coordenação e taxas de ambas as partes.
Para evitar esta dependência, é preferível usar um fornecedor que suporte tokens de rede desde o início, pois estes são portáteis. Alternativamente, escolha um fornecedor com uma política clara e justa sobre migração de dados.
Um cofre ajuda nas taxas de autorização?
Um cofre básico em si não melhora diretamente as taxas de autorização; é principalmente uma ferramenta de segurança e conformidade. No entanto, um cofre moderno que esteja integrado com serviços como tokenização de rede e Atualizador de Conta melhorará significativamente as taxas de aprovação.
Estes serviços integrados garantem que as credenciais armazenadas permanecem atualizadas, prevenindo recusas devido a cartões expirados ou reemitidos e reduzindo a rotatividade involuntária.
Um cofre é apenas para pagamentos de subscrição?
Não, embora os cofres sejam essenciais para subscrições e faturação recorrente, também são amplamente utilizados por comerciantes de comércio eletrónico para oferecer a funcionalidade de 'cartão em arquivo' ou 'finalização de compra com um clique'.
Esta conveniência acelera drasticamente o processo de compra para clientes recorrentes, o que pode levar a taxas de conversão mais altas e a uma maior fidelidade do cliente. Qualquer comerciante que pretenda armazenar o cartão de um cliente para utilização futura necessita de um cofre.
See how Cofre de cartões plays out in practice
Industries and regions where this term drives real acquiring, routing, or dispute decisions.
Termos relacionados
Um token emitido pelo esquema que substitui o PAN de ponta a ponta e é automaticamente atualizado quando o cartão subjacente é reemitido.
Substituição de dados sensíveis do cartão por um valor substituto não sensível que pode ser armazenado e reutilizado sem o âmbito PCI.
O Padrão de Segurança de Dados da Indústria de Cartões de Pagamento, a estrutura obrigatória para o tratamento de dados de titulares de cartões.
Uma cobrança iniciada pelo comerciante contra uma credencial previamente armazenada, sem a presença do titular do cartão.
Relacionados guias.
Preparado para melhorar a sua configuração de pagamentos?
Fale-nos do seu negócio. Iremos apresentá-lo aos parceiros adquirentes e à rota certa, normalmente em menos de uma semana.